Dołączony do uv magazyn CA ufa certyfikatowi głównemu emSign, którego klucze pośrednich CA zostały skompromitowane
Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.
Domyślnie uv weryfikuje połączenia TLS przy użyciu dołączonej kopii pakietu webpki-root-certs. Wersje wcześniejsze niż 0.13.4 zawierają certyfikat główny emSign ECC Root CA - G3. Osiem certyfikatów pośrednich urzędów certyfikacji eMudhra, które tworzą łańcuch do tego certyfikatu głównego, ma skompromitowane klucze prywatne i zostało unieważnionych przez urząd certyfikacji.
Atakujący dysponujący jednym ze skompromitowanych kluczy może wystawiać certyfikaty akceptowane przez uv dla dowolnej nazwy hosta, co może posłużyć do przeprowadzenia ataków typu man-in-the-middle (MITM).
Wersja uv 0.13.4 usuwa ten certyfikat główny ze swojego dołączonego pakietu, zgodnie z webpki-root-certs 1.0.10.
Co trzeba zrobić
Zaktualizuj do wersji 0.13.4 lub nowszej.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | uv | < 0.13.4 | 0.13.4 |
Odnośniki
- https://github.com/astral-sh/uv/security/advisories/GHSA-hq85-5cpj-mr62
- https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2
- https://emudhra.we-have-a-problem.com
- https://github.com/astral-sh/uv
- https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/0R3XLJL6FuE/m/0XofdebrAAAJ
- https://pypi.org/project/uv
- https://github.com/advisories/GHSA-hq85-5cpj-mr62
- Wektor CVSS
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-295- Platforma
- Python (PyPI)
- Paczka
uv- Ujawniono
- 20.10.2026
- Aktualizacja
- 21.10.2026 00:17
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-hq85-5cpj-mr62 - CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2026-4321 - PyPA Advisory Database; CC BY 4.0
Historia podatności: uv
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 7
- Pierwsza → ostatnia
- 08.2025 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Średnia 4
- Niska 2
Ujawnienia w latach
- 2025: 3
- 2026: 4
-
Dołączony do uv magazyn CA ufa certyfikatowi głównemu emSign, którego klucze pośrednich CA zostały skompromitowane ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.